DPIA voorbeeld

Wat is een DPIA?

Een Data Protection Impact Assessment (DPIA), ook wel een gegevensbeschermingseffectbeoordeling genoemd, is een instrument om de privacyrisico's van gegevensverwerking in kaart te brengen.

Een DPIA is vooral cruciaal wanneer je nieuwe technologieën of grootschalige verwerkingen gaat gebruiken. Je kijkt daarbij naar de noodzaak en proportionaliteit van de verwerking.

Een DPIA helpt je bij de volgende zaken:

• Risico’s identificeren: Je identificeert de risico’s voor de privacy van betrokken personen.
• Maatregelen bepalen: Je bepaalt welke maatregelen nodig zijn om deze risico’s te beperken.
• Naleving wetgeving: Je zorgt dat je voldoet aan de AVG (Algemene Verordening Gegevensbescherming) of GDPR (General Data Protection Regulation).

Een DPIA is verplicht wanneer de verwerking van persoonsgegevens een hoog risico met zich meebrengt. Dit kan gelden voor:

• geautomatiseerde besluitvorming;
• systematische monitoring van een openbaar gebied;
• verwerking van gevoelige gegevens, zoals medische gegevens.

DPIA dient volgens een bepaald proces te verlopen:

1. Beschrijf de verwerking: Beschrijf de verwerking en de doeleinden.
2. Gerechtvaardigd belang: Beoordeel of je een gerechtvaardigd belang hebt.
3. Privacyrisico’s analyseren: Identificeer en analyseer de risico’s voor de rechten en vrijheden van personen.
4. Maatregelen beschrijven: Bepaal en beschrijf de maatregelen die je neemt om de risico’s te mitigeren.

Een goede DPIA helpt je om potentiële privacyrisico’s op tijd te herkennen en gepaste maatregelen te nemen om die te verminderen. Daardoor kunnen betrokkenen vertrouwen hebben in jouw zorgvuldige omgang met hun gegevens.

Wanneer heb je een DPIA nodig?

Een Data Protection Impact Assessment (DPIA) is vereist wanneer je gegevensverwerking waarschijnlijk een hoog privacyrisico oplevert en dus risicovol is voor de rechten en vrijheden van individuen. Dit is vastgelegd in de Algemene Verordening Gegevensbescherming (AVG), specifiek in artikel 35. Dit kan het geval zijn bij:

• Systematische en uitgebreide evaluatie van persoonlijke aspecten op basis van geautomatiseerde verwerking, inclusief profiling.
• Grootschalige verwerking van bijzondere of gevoelige gegevens, zoals gezondheidsinformatie, etniciteit of politieke opvattingen.
• Grootschalige monitoring van openbaar toegankelijke ruimtes, bijvoorbeeld door middel van cameratoezicht.

Hier zijn enkele criteria die je kunnen helpen bepalen of een DPIA nodig is:

1. Volume van verwerkte gegevens: Verwerk je gegevens van een groot aantal mensen?
2. Gegevenscategorieën: Bevatten de gegevens gevoelige informatie?
3. Doel en context van de verwerking: Zijn er individuen die bijzonder kwetsbaar zijn, zoals kinderen?
4. Verwerkingsmethode: Gebruik je nieuwe technologieën die impact hebben op privacy?

Praktische voorbeelden

Je hebt een DPIA nodig als je:

• een systeem installeert dat medische dossiers van patiënten verzamelt en verwerkt.
• locatiegegevens van gebruikers systematisch monitort op grote schaal.
• een nieuw systeem invoert voor gezichtsherkenning in openbare ruimtes.

Hoe stel je een DPIA op?

Wil jij een Data Protection Impact Assessment (DPIA) opstellen? Dan kun je de volgende stappen volgen.

1. Beschrijf de verwerkingsactiviteiten

Begin met een systematische beschrijving van de verwerkingsactiviteiten. Welke gegevens worden verzameld en verwerkt? Noteer het doel en de noodzaak van deze verwerking.

2. Identificeer de risico's

Analyseer de mogelijke privacyrisico's die samenhangen met de verwerking van persoonsgegevens. Wie heeft toegang tot deze gegevens en hoe kunnen ze misbruikt worden? Denk aan risico’s, zoals datalekken en ongeautoriseerde toegang.

3. Raadpleeg belanghebbenden

Betrek verschillende belanghebbenden bij het proces. Dit kan variëren van IT-specialisten tot juridische adviseurs. Het is belangrijk om input te krijgen vanuit verschillende perspectieven.

4. Definieer maatregelen en waarborgen

Bepaal welke maatregelen en waarborgen je kunt nemen en inbouwen om de geïdentificeerde risico's te beperken. Dit kunnen technische maatregelen zijn, zoals encryptie en firewalls, maar ook organisatorische maatregelen, zoals beleidsregels en training van personeel.

5. Overweeg beveiligingsmaatregelen

Bekijk welke beveiligingsmaatregelen je kan implementeren om de persoonsgegevens te beschermen. Denk aan maatregelen zoals toegangscodes, encryptie en regelmatige beveiligingsaudits.

6. Implementatie van bescherming door ontwerp

Integreer bescherming van persoonsgegevens al in de ontwerpfase van je systemen en processen. Zorg ervoor dat privacyvriendelijke opties standaard zijn geconfigureerd.

7. Documenteer je bevindingen

Schrijf alles op in een rapport. Beschrijf de verwerkingsactiviteiten, de geïdentificeerde risico's, de maatregelen en de beveiligingsmaatregelen. Voeg ook de input van belanghebbenden toe.